Certificate Transparency

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

Certificate Transparency ist ein Prozess, der die Prüfung ausgestellter digitaler Zertifikate für verschlüsselte Internetverbindungen ermöglichen soll. Der Standard sieht die Protokollierung aller durch eine Zertifizierungsstelle (Certificate Authority) ausgestellter digitaler Zertifikate in einem revisionssicheren Logbuch vor. Dieses soll die Erkennung irrtümlicher oder böswillig ausgestellter Zertifikate für eine Domain ermöglichen. Im Juni 2013 wurde er als experimenteller RFC 6962 von der IETF angenommen. Der Standard wird maßgeblich von Google vorangetrieben.

Im September 2011 wurde bekannt, dass es Hackern gelungen war, in die Systeme der Zertifizierungsstelle DigiNotar einzudringen und sich für mehr als 500 Domains gefälschte Zertifikate auszustellen. Diese wurden in der Folge unter anderem zur Überwachung iranischer Bürger genutzt.[1] Als Reaktion begann Google nach eigener Darstellung mit der Entwicklung von Certificate Transparency.[2] Im März 2013 startete das Unternehmen den ersten Certificate Transparency Log,[3] wenig später führte mit DigiCert die erste Zertifizierungsstelle das Verfahren ein.[4] Seit Januar 2015 akzeptiert der von Google entwickelte Webbrowser Chrome neu ausgestellte Extended-Validation-Zertifikate nur noch, wenn ihre Ausstellung per Certificate Transparency protokolliert wurde.[5] Im Juni 2016 zwang das Unternehmen die Zertifizierungsstelle Symantec an dem Prozess teilzunehmen, ansonsten würde Chrome vor Zertifikaten Symantecs warnen.[6] Zuvor hatte Google festgestellt, dass Symantec falsche Zertifikate für Domains des Unternehmens ausgestellt hatte.[7] Ab Oktober 2017 soll Chrome laut Ankündigung Googles grundsätzlich keine Zertifikate mehr akzeptieren, deren Ausstellung nicht protokolliert wurde.[8]

Weblinks[Bearbeiten | Quelltext bearbeiten]

Einzelnachweise[Bearbeiten | Quelltext bearbeiten]

  1. heise Security: Protokoll eines Verbrechens: DigiNotar-Einbruch weitgehend aufgeklärt. Abgerufen am 26. April 2017.
  2. Certificate Transparency (CT) Status | DigiCert.com. Abgerufen am 26. April 2017 (englisch).
  3. Known Logs - Certificate Transparency. Abgerufen am 26. April 2017.
  4. Certificate Transparency (CT) Status | DigiCert.com. Abgerufen am 26. April 2017 (englisch).
  5. heise Security: Certificate Transparency: Google setzt Symantec die Pistole auf die Brust. Abgerufen am 26. April 2017.
  6. heise Security: TLS-Zertifikate: Google zieht Daumenschrauben der CAs weiter an. Abgerufen am 26. April 2017.
  7. heise Security: Symantec hantiert mit falschem Google-Zertifikat. Abgerufen am 26. April 2017.
  8. heise Security: Google: Certificate Transparency wird Pflicht. Abgerufen am 26. April 2017.